Adobe Flash is opnieuw aangevallen , met nog een " 0-dagen "- een nieuw beveiligingslek dat wordt uitgebuit voordat er zelfs maar een patch beschikbaar is. Hier leest u hoe u uzelf kunt beschermen tegen toekomstige problemen.
Een kwaadaardige website - of een website met een kwaadaardige advertentie van een extern advertentienetwerk - kan een van deze bugs misbruiken om uw computer in gevaar te brengen.
Click-to-play inschakelen (of Flash volledig verwijderen)
VERWANT: Click-to-play-plug-ins inschakelen in elke webbrowser
In theorie zou u Flash kunnen verwijderen om deze problemen te vermijden. Het is steeds minder nodig, en zelfs YouTube dumpt Flash volledig voor modern HTML5 video in moderne webbrowsers. In het ergste geval, wanneer je een soort videosite tegenkomt die Flash nodig heeft, kun je altijd gewoon je smartphone of tablet tevoorschijn halen en de mobiele site gebruiken - die zijn gebouwd zonder Flash.
Maar soms heb je Flash nodig, en we kunnen de meeste mensen niet aanraden het volledig te verwijderen. Als u Flash wilt installeren - en dat doet u waarschijnlijk helaas - waardoor click-to-play mogelijk is is de beste optie die voor u beschikbaar is. Dit voorkomt dat websites alle gewenste Flash-inhoud laden. Wanneer u een site bezoekt, kunt u gewoon op het placeholder-pictogram klikken om een specifiek Flash-element te laden, zoals de video. Flash wordt niet automatisch uitgevoerd, waardoor u wordt beschermd tegen "drive-by" -aanvallen waarbij u geïnfecteerd raakt door simpelweg een website te bezoeken.
Maar zet geen websites op de witte lijst!
VERWANT: Wat is een "zero-day" -exploit en hoe kunt u zichzelf beschermen?
Gebruik niet de click-to-play-witte lijst, waarmee u automatisch Flash-inhoud op bepaalde vertrouwde sites kunt laden. Dit is waarom:
De recente aanval werd ontdekt in advertenties op Dailymotion, een populaire videosite. Dit is het soort site dat mensen op de witte lijst zetten, zodat ze niet elke keer een extra klik nodig hebben als ze een Dailymotion-video willen bekijken. Maar door de site op de witte lijst te zetten, kan alle Flash-inhoud worden geladen, inclusief de mogelijk schadelijke advertenties. Als je click-to-play gebruikt en gewoon op de hoofdvideospeler klikt om deze te laden, zou deze aanval zijn voorkomen - met click-to-play kun je alleen specifieke Flash-elementen op een pagina laden, waardoor je kwetsbaarheid wordt verkleind.
Click-to-play is geen wondermiddel, aangezien sommige advertenties in videospelers worden weergegeven. Ja, u kunt van daaruit mogelijk worden uitgebuit door een soort zero-day-kwetsbaarheid te gebruiken. Maar het gaat er niet om elk risico te vermijden, het gaat erom het risico zo veel mogelijk te beperken.
Gebruik Chrome, Chromium of Opera voor de Flash Sandbox
VERWANT: Waarom browserplug-ins verdwijnen en wat ze vervangt
Browserplug-ins zoals Flash zijn nooit gemaakt om te worden 'sandboxed' voor beveiliging, wat inhoudt dat ze in een omgeving met weinig toestemming worden uitgevoerd, zodat aanvallen die Flash kraken, geen toegang krijgen tot uw hele computer.
Google heeft dit probleem enigszins verlicht met het plug-insysteem "PPAPI" (of "Pepper API") dat wordt gebruikt in Google Chrome en de open-source Chromium-browse die de basis vormt voor Chrome. PPAPI biedt extra sandboxing, die u kan helpen beschermen tegen kwetsbaarheden. Maar de echte oplossing is plug-ins volledig vervangen .
Het recente beveiligingsbulletin van Adobe merkt op: "We zijn op de hoogte van rapporten dat deze kwetsbaarheid actief in het wild wordt misbruikt via drive-by-download-aanvallen tegen systemen met Internet Explorer en Firefox op Windows 8.1 en lager." Chrome wordt opvallend niet genoemd, wat zou kunnen zijn omdat het PPAPI-systeem extra beveiliging biedt. Chrome-gebruikers zouden geen vals gevoel van veiligheid moeten hebben, aangezien dit niet tegen elk probleem is beschermd, maar Chrome is waarschijnlijk de veiligste browser om Flash in te gebruiken.
Chrome bevat een Flash-plug-in, maar je kunt ook de PPAPI-plug-in downloaden voor Chromium of Opera from Adobe’s website . Chromium vormt de basis voor zowel Chrome als Opera, dus de drie browsers zouden dezelfde beveiligingsfuncties voor Flash moeten bieden.
Houd Flash automatisch bijgewerkt
Zorg ervoor dat u uw Flash-plug-in up-to-date houdt. Dit beschermt u niet tegen de 0-dagen - waarvoor per definitie geen patch wordt vrijgegeven - maar het is een cruciaal onderdeel van het beveiligen van de Flash-plug-in op uw computer. Wanneer die beveiligingslekken zijn verholpen, ontvangt u de update.
Dit kan op verschillende manieren. Als u Google Chrome gebruikt, voegt Google de sandboxed (PPAPI) Flash-plug-in toe aan Chrome. het wordt automatisch bijgewerkt samen met de Chrome-webbrowser, zodat u er niet eens over na hoeft te denken.
Als u Internet Explorer op Windows 8 of Windows 8.1 gebruikt, heeft Microsoft ook een versie van de Flash-plug-in met IE. U ontvangt updates voor Flash voor IE van Windows Update samen met uw andere beveiligingsupdates.
Als u een andere browser gebruikt: Firefox, Opera of Chromium op een willekeurige versie van Windows; of zelfs Internet Explorer op Windows 7 of eerder - u moet de ingebouwde updater van Flash gebruiken. Flash raadt u aan om automatische updates in te schakelen wanneer u het installeert, maar u moet controleren of automatische updates ook daadwerkelijk op uw computer zijn ingeschakeld.
In Windows vindt u deze optie onder Flash Player in het Configuratiescherm. Open het Configuratiescherm en zoek naar "Flash" om de snelkoppeling te vinden, of klik op de categorie Systeem en beveiliging en scrol omlaag naar beneden. Klik op het pictogram "Flash Player", klik op het tabblad Geavanceerd en zorg ervoor dat automatische updates zijn ingeschakeld.
Gebruik een andere browser of browserprofiel voor Flash
In plaats van Flash volledig te verwijderen of alleen afhankelijk te zijn van click-to-play, kunt u een apart browserprofiel gebruiken waarop Flash is ingeschakeld en dit alleen openen als u Flash nodig heeft.
Als u bijvoorbeeld Firefox meestal gebruikt, kunt u Flash zelf verwijderen en Google Chrome installeren. Start Google Chrome (dat wordt geleverd met een ingebouwde Flash-speler) wanneer u Flash-inhoud moet gebruiken. Of u kunt een apart "profiel" (gebruikersaccount in Chrome) in de browser zelf aanmaken en Flash alleen in uw hoofdprofiel uitschakelen, terwijl Flash ingeschakeld blijft in het secundaire profiel. Dit zou Flash isoleren in een apart gebied, weg van uw hoofdbrowser.
Browserplug-ins zijn gevaarlijk - de plug-ins en de onderliggende plug-inarchitectuur zelf zijn gewoon niet ontworpen met het oog op beveiliging. Java is de ergste van het stel , maar zelfs Flash heeft een eindeloze reeks problemen. Het goede nieuws is dat Flash de enige plug-in is die je waarschijnlijk nodig hebt, en dat het internet er elke dag minder van afhankelijk is.
